Strafrechtelijke persoonsgegevens bij registratie persoonsgegevens

Inleiding

Banken, verzekeraars en andere financiële instellingen registreren in het kader van integriteits- en Wwft-controles regelmatig signalen over fraude, witwassen, heling of andere financieel-economische criminaliteit. Maar wanneer wordt zo’n registratie een verwerking van strafrechtelijke persoonsgegevens onder art. 10 AVG?

Die vraag staat centraal in de conclusie van advocaat-generaal B.J. Drijber van 24 april 2026, gepubliceerd op 30 april 2026, ECLI:NL:PHR:2026:435. Dit is een conclusie van de procureur-generaal bij de Hoge Raad, niet een arrest van de Hoge Raad. De zaak betreft een geschil tussen een voormalige klant en ING over opname in de Gebeurtenissenadministratie en het Interne Verwijzingsregister na Wwft-cliëntenonderzoek. ING had de zakelijke bankrelatie beëindigd, mede omdat zij onvoldoende kon uitsluiten dat cashgelden betrokken waren bij heling, witwassen of andere criminele activiteiten. De klant stelde dat de registratie strafrechtelijke persoonsgegevens bevatte. De conclusie is relevant voor discussies over Wwft-cliëntenonderzoek door de bank, interne registraties en beëindiging van een bankrelatie.

Lees de hele conclusie hier.

Het bijzondere beschermingsregime van art. 10 AVG

Art. 10 AVG bevat een bijzonder beschermingsregime voor persoonsgegevens over strafrechtelijke veroordelingen, strafbare feiten en daarmee verband houdende veiligheidsmaatregelen. Zulke gegevens zijn gevoelig omdat zij iemand in verband brengen met gedrag dat maatschappelijk afkeurenswaardig is. De verwerking daarvan kan reputatieschade veroorzaken en gevolgen hebben voor privéleven, beroepsuitoefening en toegang tot financiële dienstverlening.

De P-G benadrukt dat art. 10 AVG een sterker beschermingsniveau biedt dan gewone persoonsgegevens. Dat past bij de stigmatiserende werking van strafrechtelijke gegevens. Bij financiële instellingen speelt dit vooral wanneer een klant intern wordt geregistreerd wegens signalen rond fraude, witwassen, heling of andere financieel-economische criminaliteit. Een registratie in een intern systeem is dan niet alleen een administratieve notitie. Zij kan doorwerken bij toekomstige productaanvragen, acceptatiebeslissingen of risicobeoordelingen.

Tegelijk volgt uit de conclusie niet dat iedere compliance-aantekening of Wwft-risicoaantekening automatisch onder art. 10 AVG valt. Banken moeten cliëntenonderzoek doen, transacties monitoren en integriteitsrisico’s beoordelen. De vraag is of de concrete registratie inhoudelijk neerkomt op persoonsgegevens over strafbare feiten. Dat vereist meer dan het vastleggen dat een bank een klantrelatie risicovol of onvoldoende transparant vindt.

De oude Nederlandse lijn uit ECLI:NL:HR:2009:BH4720

De Nederlandse maatstaf voor strafrechtelijke persoonsgegevens is lange tijd bepaald door de beschikking van de Hoge Raad van 29 mei 2009, ECLI:NL:HR:2009:BH4720. In die zaak ging het eveneens om registratie door ING. De Hoge Raad aanvaardde toen dat voor strafrechtelijke persoonsgegevens geen strafrechtelijke veroordeling nodig is. Wel moeten de feiten voldoende concreet en zwaar zijn.

De kern van die maatstaf is dat sprake moet zijn van concrete feiten en omstandigheden die een als strafbaar feit te kwalificeren bewezenverklaring in de zin van art. 350 Sv kunnen dragen. Anders gezegd: een redelijk vermoeden van schuld is onvoldoende. De gegevens moeten in voldoende mate vaststaan en een zwaardere verdenking opleveren.

Voor de praktijk rond bezwaar tegen EVR-registratie en interne bankregistraties was dit een belangrijk ankerpunt. Banken en verzekeraars kunnen niet volstaan met vermoedens, risico-indicaties of onbeantwoorde vragen. Als een registratie feitelijk neerkomt op de vastlegging dat iemand fraude, witwassen of heling heeft gepleegd, moet de feitelijke basis stevig zijn. Die lijn beschermt klanten tegen te zware kwalificaties op basis van een dun dossier.

HvJ B/Latvijas: een breder Europees toetsingskader

De conclusie plaatst de HR 2009-maatstaf nadrukkelijk in het licht van latere Europese rechtspraak over art. 10 AVG. Het begrip “strafbare feiten” in art. 10 AVG is namelijk een autonoom Unierechtelijk begrip. De betekenis daarvan wordt dus niet uitsluitend bepaald door de vraag of een gedraging naar Nederlands recht als strafbaar feit kan worden gekwalificeerd.

In B/Latvijas heeft het Hof van Justitie verduidelijkt dat bij de beoordeling of sprake is van een strafbaar feit in strafrechtelijke zin drie criteria relevant zijn: de juridische kwalificatie naar nationaal recht, de aard van het feit en de zwaarte van de sanctie die aan de betrokkene kan worden opgelegd. De nationale kwalificatie blijft daarmee van belang, maar is niet beslissend. Ook wanneer een feit naar nationaal recht niet als strafrechtelijk wordt aangemerkt, kan art. 10 AVG toch van toepassing zijn als de aard van het feit of de zwaarte van de sanctie wijst op een strafrechtelijk karakter.

Daarmee rijst de vraag of de Nederlandse maatstaf uit HR 2009 nog onverkort kan worden toegepast. De P-G beantwoordt die vraag genuanceerd. De maatstaf is niet achterhaald, maar moet worden ingebed in het bredere Unierechtelijke kader. Zij blijft relevant voor het eerste criterium uit B/Latvijas: de juridische kwalificatie naar nationaal recht. Maar zij is niet beslissend voor de volledige art. 10 AVG-toets. Voor financiële instellingen betekent dit dat zij bij interne registraties niet alleen moeten kijken naar de vraag of concrete feiten een strafrechtelijke bewezenverklaring naar Nederlands recht kunnen dragen. Zij moeten ook oog hebben voor het bredere beschermingsdoel van art. 10 AVG en voor de vraag of de aard of gevolgen van de registratie een strafrechtelijke lading kunnen krijgen.

De tussenweg van de P-G

De kern van de conclusie staat in de synthese van de P-G. De HR 2009-maatstaf blijft relevant om te bepalen of is voldaan aan het eerste criterium uit B/Latvijas: de juridische kwalificatie van het feit naar nationaal recht. Voor die vraag blijft de bewezenverklaringsmaatstaf dus betekenis houden.

Maar de maatstaf is niet doorslaggevend voor de vraag of sprake is van strafrechtelijke persoonsgegevens onder art. 10 AVG. Art. 10 AVG heeft een autonome Unierechtelijke betekenis. Ook wanneer een feit of omstandigheid geen bewezenverklaring in de zin van art. 350 Sv kan dragen, kan toch sprake zijn van een strafbaar feit in de zin van art. 10 AVG, als dat voortvloeit uit de aard van het feit of uit de zwaarte van de sancties.

Daarmee ontstaat een tussenweg. HR 2009 blijft een nuttig ijkpunt voor de Nederlandse strafrechtelijke kwalificatie. Maar wie art. 10 AVG toepast, moet breder kijken. Vooral wanneer aan de registratie een maatregel of sanctie is verbonden, kunnen de aard van die maatregel en de zwaarte van de gevolgen relevant worden voor de art. 10 AVG-toets.

Voor geschillen met banken betekent dit dat een discussie over strafrechtelijke persoonsgegevens niet mag blijven steken in de vraag of een bank “genoeg bewijs” heeft voor een strafbaar feit naar Nederlands strafrecht. Tegelijk is het ook niet zo dat iedere vermelding van witwassen, heling of fraude automatisch art. 10 AVG activeert. De precieze inhoud, formulering en werking van de registratie blijven doorslaggevend.

Toepassing op de ING-zaak

In de ING-zaak faalt de klacht volgens de P-G. Het hof had geoordeeld dat de aantekening in de Gebeurtenissenadministratie niet kan worden aangemerkt als registratie van strafrechtelijke persoonsgegevens. ING had vastgelegd dat zij, vanwege onder meer hoge cashuitgaven, een gebrekkige inkoopadministratie en onvoldoende maatregelen tegen helingsrisico’s, niet voldoende kon uitsluiten dat cashgelden direct of indirect betrokken waren bij heling, witwassen of andere criminele activiteiten. Dat is een stevige formulering, maar volgens het hof en de P-G nog niet hetzelfde als de vastlegging dat de klant daadwerkelijk een strafbaar feit heeft gepleegd.

De klant klaagde in cassatie dat het hof niet alle drie de criteria uit B/Latvijas had onderzocht. De P-G volgt die klacht niet. Volgens hem had het hof, gelet op de feiten en het partijdebat, mogen volstaan met de beoordeling of de aantekening naar Nederlands recht voldoende concrete feiten en omstandigheden bevatte om een strafrechtelijke bewezenverklaring te kunnen dragen. Voor de tweede en derde criteria uit B/Latvijas — de aard van het feit en de zwaarte van de sanctie — was in deze zaak onvoldoende aanknopingspunt. Die criteria zien volgens de P-G vooral op situaties waarin aan een gedraging een sanctie of bestraffende maatregel is verbonden. In deze procedure was echter niet gesteld of gebleken dat voor de in de aantekening genoemde omstandigheden, ook buiten het strafrecht, een sanctie kon worden opgelegd. Daarmee verschilt deze zaak van B/Latvijas, waar het ging om verkeersovertredingen waaraan via een administratief systeem strafpunten werden gekoppeld. Daar was dus sprake van een duidelijke overtreding én een duidelijke sanctie.

De conclusie zegt daarmee niet dat interne bankregistraties nooit strafrechtelijke persoonsgegevens kunnen bevatten. De boodschap is preciezer: een Wwft-risicoaantekening valt niet automatisch onder art. 10 AVG. Dat hangt af van de inhoud, feitelijke basis, kwalificatie en gevolgen van de registratie.

Financieel Recht Advocaten

De conclusie bij ECLI:NL:PHR:2026:435 brengt nuance in een praktisch belangrijk onderwerp. De HR 2009-maatstaf blijft bruikbaar voor de nationale strafrechtelijke kwalificatie van feiten. Zij is echter niet beslissend voor de volledige vraag of sprake is van strafrechtelijke persoonsgegevens onder art. 10 AVG. Dat begrip moet autonoom Unierechtelijk worden uitgelegd.

Voor Wwft-registraties door banken betekent dit dat niet iedere risicoaantekening strafrechtelijk van aard is. Tegelijk kan een registratie wel onder art. 10 AVG vallen wanneer de inhoud, aard of gevolgen daarvan voldoende strafrechtelijk gekleurd zijn. De conclusie is daarom vooral relevant voor de grens tussen integriteitsrisico’s en strafrechtelijke persoonsgegevens onder art. 10 AVG.

Financieel Recht Advocaten staat cliënten bij in bank- en financiële geschillen, waaronder cliëntenonderzoek, Wwft-kwesties, beëindiging van bankrelaties, EVR/IVR-registraties, hypotheek- en financieringskwesties en procedures tegen financiële dienstverleners. Bij geschillen over interne bankregistraties of persoonsgegevens na Wwft-onderzoek kan vrijblijvend contact worden opgenomen voor een eerste beoordeling van de juridische positie.

Praktische FAQ’s